Podatność w Voltronic Power ViewPower Pro umożliwia zdalnym atakującym wykonanie dowolnego kodu bez uwierzytelnienia. Krytyczny poziom zagrożenia wynika z braku wymagań co do uprawnień oraz możliwości pełnego przejęcia kontroli nad systemem.
▸ Pokaż oryginał (EN)
Voltronic Power ViewPower Pro Expression Language Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Voltronic Power ViewPower Pro. Authentication is not required to exploit this vulnerability. The specific flaw exists within the Struts2 dependency. The issue results from the use of a library that is vulnerable to expression language injection. An attacker can leverage this vulnerability to execute code in the context of LOCAL SERVICE. Was ZDI-CAN-22095.
Podatność tkwi w bibliotece Struts2 używanej przez aplikację ViewPower Pro, która jest podatna na expression language injection (CWE-917). Atakujący może przesłać specjalnie spreparowane żądanie do aplikacji, w którym złośliwe wyrażenie zostaje przetworzone i wykonane przez silnik wyrażeń biblioteki Struts2. W efekcie kod zostaje wykonany w kontekście procesu LOCAL SERVICE na atakowanym systemie.
Atakujący może zdalnie wykonać dowolny kod w kontekście konta LOCAL SERVICE, co może prowadzić do przejęcia kontroli nad systemem, naruszenia poufności danych, integralności oraz dostępności usług.
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również ograniczenie dostępu sieciowego do interfejsu aplikacji ViewPower Pro za pomocą firewall, aby zminimalizować ekspozycję na nieautoryzowane żądania.
Voltronic Power ViewPower Pro — wersje wskazane w referencjach producenta (podatność zidentyfikowana jako ZDI-CAN-22095)
Podatność została zgłoszona w ramach programu Zero Day Initiative (ZDI) pod identyfikatorem ZDI-CAN-22095 i opublikowana jako ZDI-23-1896.
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HVoltronicpower Viewpower
APPVoltronicpower2.0-22165
Powiązane podatności
RCE przez deserializację w Voltronic Power ViewPower (port TCP 51099)
Voltronic Power ViewPower — RCE przez odsłoniętą niebezpieczną metodę klasy MacMonitorConsole
Voltronic Power ViewPower — RCE przez niechronioną metodę w klasie MonitorConsole
Voltronic Power ViewPower — pominięcie uwierzytelnienia przez exposed dangerous method
Voltronic Power ViewPower — RCE przez wystawioną niebezpieczną metodę LinuxMonitorConsole